Oktaを使用してSSO認証を設定する#

#目的

Oktaを使用してIDとユーザー管理を行い、Data Platformアプリにログインしたいですか？ このガイドに従って、すぐに始めることができます。

IAMを開き、Auth. Providerをクリックします。

まだ行っていない場合は、Data Platformに新しいOkta認証プロバイダーを追加します。そうでない場合は、編集します。

設定は2つの部分で行われます。まず、Oktaでの権限を設定し、次にData Platform Identity Access Managerで認証プロバイダーを設定します。

#Oktaでの設定

Okta環境にData Platformをアプリケーションとして登録する必要があります。Okta環境を開きます。

#ステップ1. OktaにIdentity Access Managerを登録する

Okta内にアプリケーションを登録する必要があります。これは、Oktaに接続したい任意のアプリで動作しますが、今回はData Platform IAMを直接登録します。

サイドバーでApplicationsを選択し、次にCreate App Integrationをクリックします。

方法としてOIDC (OpenID Connect)、アプリケーションタイプとしてWeb Applicationを選択します。

Nextを押します。

#コールバックURL

この新しいアプリケーションに任意の名前を付け、Grant TypeがAuthorization Codeであることを確認します。

Sign-in Redirect URIsセクションまでスクロールします。

URLフィールドに、Data Platformで追加した新しい認証プロバイダーのReply URLフィールドをコピーして貼り付けます（これはData Platform IAM全体で同じです）。

新しいアプリケーション統合を保存します。

#ステップ2. ドメインを取得する

ドメインはOktaのテナントIDに相当します。アプリケーションのGeneral Settingsで、Okta domainセクションを探します。

#ステップ3. クライアントIDを取得する

クライアントIDはアプリケーション固有のものです。アプリケーションのClient Credentialsで、Client IDセクションを探します。

#ステップ4. クライアントシークレットを取得する

クライアントシークレットはアプリケーション固有のものです。アプリケーションのClient Credentialsで、Client secretセクションを探します。

#まとめ

前のステップを正しく実行した場合、この情報のリストを取得する必要があります。

Okta domain (Step 2): xxxxxxxxxx.okta.com
Client ID (Step 3): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Client secret (Step 4): XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

#Data Platform Identity Access Manager の設定

Data Platform Identity Access Manager で新しい認証プロバイダーを設定する必要があります。

#基本情報を入力

• 名前 / 説明: これは新しい認証方法の内部名と説明です
• ディレクトリ: これはこのディレクトリから作成されるすべてのアカウントの統一タグです。例えば、Okta を入力できます
• タグ: これはさらにタグ付けオプションを提供します。完全にオプションです
• 返信 URL: これは認証プロバイダーがリダイレクトする Data Platform の URL です
• アクティブ: この認証プロバイダーがログインに使用できるかどうかを指定します

#Okta の設定を入力

次に、Okta Configuration パネルを見つけます。

前のセクションで Okta で収集した情報を次のように入力します:

• ドメイン: Okta ドメイン ([Okta の設定の 手順 2 で取得)
• クライアント ID: クライアント ID ([Okta の設定の 手順 3 で取得)
• クライアント シークレット: クライアント シークレット ([Okta の設定の 手順 4 で取得)
• スコープ: これは Data Platform が Okta からアクセスできる情報の量を表します。このフィールドはオプションです: デフォルト値は openid email profile です

#バインドルールを入力

Bindings パネルを使用すると、Okta と Data Platform 間のフィールドのマッピングをカスタマイズできます。

メール、ログイン、名前、姓はデフォルトでマッピングされています。

必要に応じて、Okta から Data Platform Identity Access Manager に追加情報を保存する場合は、バインドを上書きできます。例えば、職務名などです。

バインドを設定する最も簡単な方法は、ユーザーのログインから応答を取得することです。次の手順に従ってください:

1 - 新しく設定した Okta 認証プロバイダーを使用して、Data Platform の任意のアプリケーションにサンプルログインします。 2 - IAM 認証プロバイダー（ここでは Okta）の Log History ページを開きます。

3 - 最新のログを開きます: Okta からの元の応答は次のようになります:

{
  "sub": "00u4au2tpeFfNw3uR696",
  "name": "John Smith",
  "email": "jsmith@example.com",
  "ver": 1,
  "iss": "https://example.okta.com",
  "aud": "4j63bjk34b6jk3b",
  "iat": 1634310728,
  "exp": 1634314328,
  "jti": "ID.TRhY73q_LejPMKVxrt936nLTLaayJJgPMni78ww0ouQ",
  "amr": [
    "mfa",
    "pwd",
    "otp"
  ],
  "idp": "00o4au2o4QD29JO5Q696",
  "preferred_username": "jsmith@example.com",
  "auth_time": 1634310281,
  "at_hash": "OExX1fo9d8vq-z2-vZtkIg",
  "user": {
    "sub": "00u4au2tpeEfNw3uR696",
    "name": "John Smith",
    "locale": "en-US",
    "email": "jsmith@example.com",
    "preferred_username": "jsmith@example.com",
    "given_name": "John",
    "family_name": "Smith",
    "zoneinfo": "America/Los_Angeles",
    "updated_at": 1634310506,
    "email_verified": true
  }
}

4 - デフォルトのメール、ログイン、名前、姓に加えて、Okta からの任意の追加プロパティを "JSON" モードを使用して Data Platform のカスタム configuration.XXX フィールドに保存できます。

例えば、Okta の name フィールドから Data Platform に fullname プロパティを追加できます:

{
  "login": "email",
  "email": "email",
  "pronoun": "",
  "firstname": "user.given_name",
  "lastname": "user.family_name",
  "configuration.fullname": "name"
}

#カスタム マッピング

Custom mappings パネルを使用すると、この認証プロバイダーを通じてログインしたすべてのユーザーを自動的にロールまたはグループに割り当てできます。

カスタム マッピングの設定方法を学ぶ。

#ライブ設定

Okta コネクタの設定は完了しました! まだ行っていない場合は、Create をクリックします - それ以外の場合は、Save していることを確認してください。

認証プロバイダーのリストで、新しい方法を確認できます。active に設定していることを確認してください。

この新しい認証方法が表示されるように、選択したアプリケーションに対して設定してください。これで、アプリケーションのログインページに Okta オプションが表示されます。それをクリックすると、Okta ログイン画面にリダイレクトされます。または、すでにアカウントにログインしている場合は、直接アプリケーションにアクセスできます。

アプリのログインページに Okta を表示する

#さらに詳しく

ソリューションを実装するためのトレーニングや技術サポートが必要な場合は、営業担当者にお問い合わせください、またはこのリンクをクリックして見積もりを受け取り、プロフェッショナルサービスの専門家にプロジェクトのカスタム分析を依頼してください。

Data Platform を構築するチームと直接質問をし、フィードバックを提供し、相互作用するには、専用の Discord チャネル を利用してください。

OVHcloud サービスについてサポートが必要な場合は、Help Centre でリクエストを作成してください。

ユーザーコミュニティ に参加してください。